内存特征码查找－－摸索

下午在广海论坛看到别人的一个关于游戏内存特征码查找的帖子，有了些兴趣。

想研究下其原理，看了下Ollydb和CE之类的软件，其中对内存的显示都是16进制的字符形式。

也想试下那种效果。

 

个人感觉这个查找是字符串匹配问题，特征码就是子串，而源串是游戏内存了。

考虑到内存太大了，所以觉得还是KMP算法好啊，呵呵。

 

网上找到个现成的，修改了下就OK了，为了结合函数参数一致，所以写了个从16进制内存串转换为

char串的函数。

实际上就是把"7074696F6E40737464404000"这种内存里面的数据转换为char字符串。

才能和kmp适应，在kmp匹配的时候也有些更改把原来从源串读数据改成了直接从内存地址读取单个

char。

 

最后测试下了效率，查找400000到4FFFFF范围，目标点是0041C060

运行100次，所用时间是接近600ms。

不晓得是快还是慢呢，没什么比较的。

 

嘿嘿，不过感觉还是挺好的，对调试工具里面显示的东西又熟悉了点。

不过内存里面的高低位确实要注意下，当然也不麻烦。

 

改动下或许可以实际使用，写的有误的地方欢迎探讨，嘿嘿。

下面是代码

#include <iostream> #include <string> #include <vector> using namespace std; const vector<int> * kmp_next(string &m) // count the longest prefex string ; { static vector<int> next(m.size()); next[0]=0; // the initialization of the next[0]; int temp; // the key iterator...... for(int i=1;i<next.size();i++) { temp=next[i-1]; while(m[i]!=m[temp]&&temp>0) { temp=next[temp-1]; } if(m[i]==m[temp]) next[i]=temp+1; else next[i]=0; } return &next; } int kmp_search(string m,int start,int end) { const vector<int> * next=kmp_next(m); int tp=start; int mp=0; // text pointer and match string pointer; for(tp=start;tp<end;tp++) { while(*((char *)tp)!=m[mp]&&mp) mp=(*next)[mp-1]; if(*((char *)tp)==m[mp]) mp++; if(mp==m.size()) { return tp-mp+1; } } if(tp==end) return NULL; } string HexChartoChar(string &src) //自己写的把内存里面的16进制的代码转换为char字符串 { string des; int len=src.size(); des.resize(len/2); unsigned char hex=0; unsigned char num=0; for (int i=0,j=0;i<len;i++) { if (src[i]>='A'&&src[i]<='F') { num=src[i]-55; hex+=num<<(1-i%2)*4; } else if(src[i]>='a'&&src[i]<='f') { num=src[i]-87; hex+=num<<(1-i%2)*4; } else if (src[i]>='0'&&src[i]<='9') { num=src[i]-48; hex+=num<<(1-i%2)*4; } if (i%2==1) { des[j]=hex; j++; hex=0; } } return des; } int main(int argc, char *argv[]) { int start=0x400000; int end=0x7fffff; string s="7074696F6E40737464404000"; //0041C060 string t=HexChartoChar(s); int pos; for (int i=0;i<100;i++) pos=kmp_search(t,start,end); cout<<hex<<pos<<endl; cout<<time.GetRunTime()-kai<<"ms"<<endl; return 0; }